Notizen · Microsoft 365

Bevor Copilot startet: zu weit freigegebene Ablagen finden

Microsoft 365 Copilot stützt seine Antworten auf die Daten, auf die die fragende Person ohnehin Zugriff hat. Das klingt beruhigend. In vielen Firmen ist aber genau das das Problem.

Über die Jahre sammelt sich einiges an: ein Team, das als «öffentlich» angelegt wurde, ein Ordner, der für alle im Unternehmen freigegeben ist, ein Link «Jeder mit dem Link», den niemand mehr kennt. Bisher fiel das kaum auf, weil niemand danach suchte. Copilot sucht. Fragt eine Mitarbeiterin nach «Löhnen 2026» und liegt die Lohnliste in einer offenen Ablage, kann sie in der Antwort auftauchen. Das Beispiel ist erfunden, das Muster nicht.

Was Microsoft dafür anbietet

Zuerst die Lizenzfrage. Sobald in Ihrer Firma mindestens eine Person eine Microsoft-365-Copilot-Lizenz hat, bekommen Ihre SharePoint-Administratoren die Funktionen von SharePoint Advanced Management, die Copilot betreffen. Ohne Copilot gibt es SharePoint Advanced Management als Zusatz (Plan 1). Mit Microsoft 365 E5 allein sehen Sie nur einen Teil der Berichte, ohne Momentaufnahmen und ohne Korrekturen. Die wichtigsten Werkzeuge:

• Berichte zur Zugriffssteuerung (Data access governance) im SharePoint Admin Center. Der Bericht über die Website-Berechtigungen zeigt als Momentaufnahme, welche SharePoint- und OneDrive-Websites den breitesten Zugriff haben, etwa mit Tausenden Personen, Gästen oder der Gruppe «Jeder ausser externen Benutzern». Zwei weitere Berichte zeigen, wo in den letzten 28 Tagen viele Freigabelinks entstanden sind oder Inhalte für alle im Unternehmen freigegeben wurden.
• Überprüfung durch die Besitzer (Site access review). Sie schicken eine auffällige Website an deren Besitzer, und diese prüfen die Berechtigungen selbst.
• Eingeschränkte Inhaltserkennung (Restricted Content Discovery). Eine Website erscheint nicht mehr in der unternehmensweiten Suche und in Copilot, die Berechtigungen bleiben aber gleich. Microsoft bezeichnet das als vorübergehende Massnahme, solange geprüft wird. Für OneDrive gibt es diese Einstellung nicht.
• Eingeschränkte Zugriffssteuerung (Restricted Access Control). Eine Website ist dann nur noch für Mitglieder einer bestimmten Gruppe zugänglich, auch wenn andere früher Zugriff oder einen Link hatten.
• Richtlinien für inaktive Websites und Besitzer. Sie finden Websites ohne Besitzer oder ohne Nutzung, die man archivieren oder löschen kann.

Die frühere eingeschränkte SharePoint-Suche (Restricted SharePoint Search) verwende ich nicht mehr. Microsoft stellt sie ein; seit dem 31. Juli 2026 lässt sie sich nicht mehr neu einschalten.

Für Vertraulichkeitsbezeichnungen und Data Loss Prevention kommt Microsoft Purview dazu. Der Bericht über Dateien mit Vertraulichkeitsbezeichnungen braucht E5. Purview bietet zusätzlich eine wöchentliche Risikoprüfung für die 100 meistgenutzten SharePoint-Websites. Welche dieser Funktionen Ihre Lizenzen abdecken, prüfe ich in Ihrem Tenant.

In dieser Reihenfolge

1. Freigabe-Einstellungen prüfen. SharePoint steht laut Microsoft standardmässig auf der freizügigsten Einstellung. Ich prüfe, ob Links für «Jeder» nötig sind, und setze ein Ablaufdatum.
2. Momentaufnahme erstellen. Der Bericht über die Website-Berechtigungen ergibt eine Liste der Websites mit dem breitesten Zugriff.
3. Heikles zuerst schützen. Personal, Finanzen und Geschäftsleitung nehme ich mit der eingeschränkten Inhaltserkennung aus Copilot, bis sie geprüft sind.
4. Mit den Besitzern aufräumen. Die Besitzer prüfen ihre Websites. Wo es nötig ist, beschränke ich den Zugriff auf eine Gruppe.
5. Altlasten entfernen. Verwaiste und inaktive Websites archivieren oder löschen. Was es nicht mehr gibt, kann Copilot nicht finden.
6. Copilot für eine kleine Gruppe starten. Danach laufen die Aktivitätsberichte monatlich und die Momentaufnahme vierteljährlich, wie Microsoft es empfiehlt.

Was ich konkret mache

• Ich erstelle für Ihren Tenant einen Bericht: welche Ablagen zu weit offen sind, nach Risiko geordnet, mit einem Vorschlag für jede.
• Die Korrekturen setze ich mit Ihnen und den Besitzern um, ohne dass jemand plötzlich vor einer gesperrten Ablage steht.
• Ich begleite den Start mit einer Pilotgruppe.
• Was geändert wurde, ist dokumentiert, für Ihr Team und Ihre Revisionsstelle.